EventBridge:Déléguer l'accès entre les comptes Alibaba Cloud

Contexte

L'entreprise A utilise le service EventBridge et souhaite déléguer certaines tâches à l'entreprise B.

Prérequis :

• L'entreprise A souhaite conserver la propriété des ressources tout en déléguant des tâches telles que la publication d'événements à l'entreprise B.

• L'entreprise A veut éviter de modifier les autorisations à chaque arrivée ou départ d'un collaborateur de l'entreprise B. L'entreprise B doit pouvoir gérer l'accès pour ses propres utilisateurs RAM (employés ou applications) et définir des autorisations fines pour les ressources de l'entreprise A.

• L'entreprise A doit pouvoir révoquer l'accès de l'entreprise B à tout moment, par exemple en cas de fin de contrat.

Procédure

1. Connectez-vous à la console RAM avec le compte Alibaba Cloud de l'entreprise A et créez un rôle RAM pour le compte Alibaba Cloud de l'entreprise B.

   Pour plus d'informations, consultez la rubrique Créer un rôle RAM pour un compte Alibaba Cloud approuvé.

2. Facultatif :Créez une stratégie personnalisée pour le rôle RAM.

   Pour plus d'informations, consultez la rubrique Créer une stratégie personnalisée.

   EventBridge prend en charge les autorisations au niveau des ressources. Pour plus d'informations, consultez la rubrique Stratégies et exemples.

3. Un nouveau rôle RAM ne dispose d'aucune autorisation. L'entreprise A doit lui accorder des autorisations en attachant une stratégie système ou une stratégie personnalisée.

   Pour plus d'informations, consultez la rubrique Gérer les autorisations d'un rôle RAM.

4. Utilisez le compte Alibaba Cloud de l'entreprise B pour vous connecter à la console RAM et créer un utilisateur RAM.

   Pour plus d'informations, consultez la rubrique Créer un utilisateur RAM.

5. Accordez la stratégie AliyunSTSAssumeRoleAccess à l'utilisateur RAM de l'entreprise B.

   Pour plus d'informations, consultez la rubrique Accorder des autorisations à un utilisateur RAM.

   L'entreprise B doit accorder l'autorisation AliyunSTSAssumeRoleAccess à son utilisateur RAM. Cela permet à l'utilisateur RAM d'endosser le rôle RAM créé par l'entreprise A.

6. L'utilisateur RAM de l'entreprise B peut désormais accéder aux ressources de l'entreprise A via la console ou par des appels API.

   Pour des instructions détaillées, consultez la section Étapes suivantes de cette rubrique.

Informations connexes

Qu'est-ce que RAM ?

Étapes suivantes

L'utilisateur RAM de l'entreprise B peut accéder aux ressources Alibaba Cloud de l'entreprise A en se connectant à la console ou en appelant l'API.

• Se connecter à la console pour accéder aux ressources de l'entreprise A

  1. Ouvrez le portail de connexion des utilisateurs RAM dans votre navigateur.

  2. Sur la page RAM User Logon, saisissez le nom de connexion de l'utilisateur RAM, cliquez sur Next, entrez le mot de passe, puis cliquez sur Logon.

     Remarque

     Le nom de connexion d'un utilisateur RAM doit être au format <$username>@<$AccountAlias> ou <$username>@<$AccountAlias>.onaliyun.com. <$AccountAlias> correspond à l'alias du compte. Si aucun alias de compte n'est défini, l'ID du compte Alibaba Cloud est utilisé par défaut.

  3. Dans la console Alibaba Cloud, placez le pointeur sur votre photo de profil en haut à droite et cliquez sur Switch Role.

  4. Sur la page Switch Role, saisissez l'Enterprise Alias ou le Default Domain du compte de l'entreprise A ainsi que le Role Name. Cliquez ensuite sur Switch.

  5. Vous pouvez désormais effectuer des opérations sur les ressources Alibaba Cloud de l'entreprise A.

• Effectuer des appels API pour accéder aux ressources de l'entreprise A

  Pour accéder aux ressources de l'entreprise A via des appels API, incluez l'AccessKeyId, l'AccessKeySecret et le SecurityToken de l'utilisateur RAM dans votre code. Le SecurityToken est un jeton de sécurité temporaire obtenu auprès de STS. Pour plus d'informations, consultez la rubrique AssumeRole.